Consoles série et hors bande : conserver l'accès à un serveur lorsque le réseau est indisponible

Objectif

Conserver un accès à la console d'un serveur lorsque son chemin réseau habituel (SSH via l'interface principale) est justement ce qui est défaillant : pare-feu mal configuré, chargement d'un pilote réseau défectueux ou noyau qui panique avant d'avoir initialisé le réseau.

Prérequis

Pour une ligne série physique ou virtualisée : un câble null-modem ou un périphérique série fourni par l'hyperviseur, ainsi qu'un émulateur de terminal à l'autre extrémité (la vitesse en bauds doit être identique des deux côtés). Pour une instance cloud : la fonction de console série/système du fournisseur, activée au préalable. Pour un serveur physique doté d'un BMC : ipmitool et un accès réseau ou par port dédié au BMC, configurés à l'avance.

Étapes

1. Ajouter une console série à la ligne de commande du noyau afin que les messages de démarrage et les shells de secours s'y affichent : console=tty0 console=ttyS0,115200 (périphérique, vitesse en bauds ; la documentation du noyau désigne ttySx comme « a serial port », c'est-à-dire un port série). La sortie est envoyée à toutes les consoles indiquées, mais la dernière de la liste devient /dev/console, là où les shells de secours et d'urgence affichent leur invite : la console série doit donc figurer en dernier. Pour rendre ce réglage persistant, utiliser grubby --update-kernel=ALL --args="console=tty0 console=ttyS0,115200" (famille RHEL) ou l'ajouter à GRUB_CMDLINE_LINUX puis exécuter update-grub (Debian/Ubuntu) ; il prend effet au prochain démarrage.
2. Pour que le menu GRUB lui-même s'affiche sur la ligne série (nécessaire pour choisir à distance un noyau de repli), définir GRUB_TERMINAL="console serial" et GRUB_SERIAL_COMMAND="serial --speed=115200 --unit=0" dans /etc/default/grub, puis régénérer grub.cfg.
3. Invite de connexion : systemd-getty-generator démarre automatiquement serial-getty@ttyS0.service pour une console série du noyau ; pour les autres lignes, l'activer explicitement (systemctl enable --now serial-getty@ttyS1.service). Le processus qui tourne sur la ligne est agetty.
4. Sur AWS (types d'instances basés sur Nitro), l'accès à la console série est désactivé par défaut : le compte doit l'activer et les politiques IAM doivent l'autoriser ; il fonctionne ensuite indépendamment du réseau de l'instance. La connexion nécessite un utilisateur du système avec un mot de passe, car les clés SSH ne s'appliquent pas ici.
5. Sur Azure, la Serial Console du portail offre un accès équivalent via le plan de contrôle ; elle exige que les diagnostics de démarrage soient activés, ainsi qu'un utilisateur local avec mot de passe, là aussi.
6. Pour les serveurs physiques avec BMC, vérifier SOL avec ipmitool sol info, puis se connecter avec ipmitool -I lanplus -H <bmc-ip> -U <user> -E sol activate (-E lit le mot de passe dans IPMI_PASSWORD, ce qui évite qu'il apparaisse dans la liste des processus) ; sol activate requiert l'interface lanplus (IPMI v2.0). Quitter avec la séquence d'échappement (par défaut ~.) ; exécuter sol deactivate si une session précédente a laissé SOL marqué comme actif.
7. Tester chaque chemin une fois sur un système sain, y compris les identifiants et l'accessibilité du BMC ou de la console cloud indépendamment du réseau de l'hôte.

Résultat attendu

Le menu du chargeur de démarrage, les messages du noyau et une invite de connexion apparaissent tous sur la ligne série ou la console du fournisseur : un blocage au démarrage ou un verrouillage par le pare-feu laisse donc une console utilisable.

Limites et base de vérification

Une console série n'affiche que le texte que le noyau ou l'espace utilisateur écrit explicitement sur ce périphérique ; elle ne remplace pas journalctl a posteriori si le tampon de la console a défilé plus vite que ce qu'un opérateur peut relever. L'accès BMC/SOL est lui-même un identifiant à protéger : le réseau du BMC doit être traité avec la même prudence que l'accès root à l'hôte, car SOL, comme une console physique, donne accès au menu de démarrage et aux shells de secours, et équivaut donc en pratique à un accès root.